Bad Guys veröffentlichen gestohlene Daten

Bad Guys hinter den Ransomware-Angriffen haben gerade eine neue Methode entdeckt, wie sie angegriffenen Unternehmen zur Zahlung eines Lösegeldes zwingen können. Offensichtlich zahlen viele Opfer des Ransomware-Angriffs das verlangte Lösegeld nicht. Solche Unternehmen haben eine Sicherung der Daten und versuchen, alle Daten wiederherzustellen, statt zu zahlen. Um das "Zahlungsmoral" der Opfer zu steigern, drohen Bad Guys jetzt mit Veröffentlichung der gestohlenen Daten. Die Gruppe hinter Maze Ransomware hat sogar eine Website dafür eingerichtet. Dort werden Namen der angegriffenen Unternehmen und auch gestohlene Daten exemplarisch publiziert.

Diese Methode stellt die Opfer der Ransom-Attacken vor neue Herausforderungen. Erstens, viele Unternehmen haben den Angriff verschwiegen. Andere Unternehmen haben zwar zugeben, angegriffen zu sein. Sie haben aber behauptet, dass trotz der Verschlüsselung der Daten durch Ransomware keine internen Daten gestohlen und kompromittiert wurden. Diese Behauptung war zwar nie besonders glaubwürdig. Eine Ransomware, welche unentdeckt in das interne Netzwerk eines Unternehmens eindringt, hat sicherlich auch die Möglichkeit zumindest einen Teil der Daten vor der Verschlüsselung zu stehlen. Es ist auch fraglich, ob angegriffene Unternehmen überhaupt fähig sind, festzustellen, ob und welche Daten gestohlenen worden sind. Die meisten Unternehmen haben nicht genug Log-Daten und Auswertungsmöglichkeiten, um solche Aussage fundiert zu machen. Es fehlte aber bis vor kurzem ein greifbarer Beweis, dass bei Ransomware-Angriffen auch Daten gestohlen werden. Die Veröffentlichung der gestohlenen Daten durch Maze Ransomware schafft hier Klarheit. 

Da es sich bei vielen gestohlenen Daten um personenbezogene Daten handelt, müssten die betroffenen Unternehmen solche Vorfälle immer an die zuständige Datenschutzbehörde (nicht nur innerhalb der EU) melden. Was viele angegriffenen Unternehmen bis vor kurzem nicht gemacht haben. Das kann hohe Strafen für Missachtung der DSGVO nach sich ziehen.

Yuval Harari speaks about the main challenges for our civilisation

I really like to listen to Yuval Harari. His precisely formulated thoughts show a broader perspective for the main challenges awaiting us in the near future. Harari says that there are three main developments we should care about: danger of nuclear war, climate change and hacking humans through artificial intelligence. These 3 challenges have the potential to destroy human civilization. All these challenges can be solved only on a global scale. This means that all people and all nations (or at least a big majority) need to cooperate to find proper solutions. 

Climate change can be stopped very quickly if we agree to spend approximately 2% of GDP for developing new technologies and improving production methods. What we need is readiness to act and spend money. The climate agenda of the EU is a good step in the right direction. And I am pretty sure that countries, which start changing their economy in this direction now, will gain huge profit in 2 or 3 decades.

New technologies based upon Big Data and AI can predict our thoughts and behavioural patterns better than we can ourselves. This allows very sophisticated surveillance, control and manipulation of people for economic advantages (private companies) or any kind of dictatorship. Harari speaks here about the possibility of digital dictatorship. We humans need to control this development and define some reasonable rules how it can be used. The EU Commission is going in the right direction with plans for regulations to make AI trustworthy.

It would be really good if we all would spend much more time carrying about these main challenges of mankind instead of wasting our time and resources on topics with little importance for our future.

Demis Hassabis spricht über die Zukunft von AI

Ein nettes Interview mit Demis Hassabis, welches Jim Al-Khalili durchgeführt hat, hat BBC publiziert. Demis Hassabis spricht dort über seine Kindheit und sein Weg zu AI. Demis Hassabis ist einer der wichtigsten players im AI-Sektor. Er ist einer der Gründer von Deepmind, welches dann an Google verkauft wurde. Deep Mind ist ein führendes Unternehmen im Bereich Deep Learning. AlphaGo, eine von Deepmind entwickelte AI, schlug 2016 den Weltmeister im GO Lee Sedol. Die nachfolgende Entwicklung von Deepmind, AlphaZero, ist eine der ersten generischen AI für Brettspiele. AlphaZero kann ein neues Spiel erlernen, indem es nur einige Stunden mit sich selbst spielt. 

Demis Hassabis meint, dass AI (wie jede andere Technologie auch) von sich aus neutral für die Gesellschaft ist. Alles hängt davon ab, wie wird sie angewendet. Demis Hassabis will mit seinen Entwicklungen im Umfeld AI das menschliche Potential erweitern. Er glaubt, dass in naher Zukunft, AI die Menschen in der Analyse riesiger Datenbestände und komplexer Aufgaben unterstützen wird. Jetzt beschäftigt er sich mit dem Einsatz von AI in der wissenschaftlichen Forschung. 

Patientendaten aus französischer Medizin-Cloud offen im Internet

Kaum ein Tag vergeht ohne einem Sicherheitsvorfall. Diesmal ist ein französisches Medizinunternehmen betroffen. Fast eine Million Dateien mit Patientendaten waren offen aus Internet erreichbar. Die Ursache war, wie so oft, eine falsche Konfiguration des Speichers in der Amazon-Cloud. 

Auch dieses Daten-Leak wäre leicht zu vermeiden. Man muss nur regelmäßig alle aus Internet erreichbaren Server scannen und überprüfen, ob sie richtig konfiguriert und keine Schwachstellen vorhanden sind. Das ist heutzutage eine absolut grundlegende Sicherheitsmaßnahme und es gibt unzählige Tools und Services dafür. Jedes Unternehmen, welches eigene (on-Prem und auch in der Cloud) Infrastruktur nicht scannt, handelt fahrlässig.

Dieser Sicherheitsvorfall hat aber einen zusätzlichen Aspekt. Bei den kompromittierten Daten handelt sich um Gesundheitsdaten. Solche Daten sind laut DSGVO als besondere Kategorie der personenbezogenen Daten eingestuft und erfordern damit einen besonderen Schutz. Auf jeden Fall ist ein Unternehmen, welches solche Daten verarbeitet und speichert, verpflichtet eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Im Rahmen einer DSFA muss man bestimmen, mit welchen Risiken die Verarbeitung dieser personenbezogenen Daten für die Rechte und Freiheiten der natürlichen Personen verbunden ist. Entsprechend dieser Risikoanalyse sind auch alle notwendigen Sicherheitsmaßnahmen zu ergreifen, um diese Risiken zu minimieren. Artikel 32 von DGVO schreibt etliche Sicherheitsmaßnahmen vor, darunter auch Verschlüsselung der Daten. Ich würde sehr gerne die Ergebnisse von DSFA für diesen Fall sehen.

Der Betreiber dieser Medizin-Cloud betont auf seiner Website, dass die Firma die höchsten Ansprüche wie DSGVO, HIPPA, ISO usw. einhält. Offensichtlich nicht ganz.

Wie Heise Online berichtet gibt das Unternehmen diesen Vorfall zu. Der CEO des Unternehmens relativiert aber die Kritikalität des Vorfalls:

In einer Mitteilung des Unternehmens auf der Webseite zur Datensicherheit gesteht der CEO des Unternehmens den Datenvorfall zwar ein, aber die Einlassungen erwecken nicht den Eindruck, dass man sich dort des Ernstes der Lage bewusst ist. So wird auf die sichere medizinische Cloud sowie ein sicheres Hosting (Personal Data Hosting) verwiesen. Die Anwendung sowie die Datenverwaltungspraxis sei 2018 von einer auf GDPR (die DSGVO) spezialisierten Anwaltskanzlei geprüft worden, um die Einhaltung der angeblich 2019 in Kraft getretenen Datenverordnung zu gewährleisten, so der CEO der Firma in seiner Einlassung.

Angesicht des Vorfalls ist die Frage völlig berechtigt, ob eine Überprüfung durch eine Anwaltskanzlei ausreichend für die Erfüllung der DSGVO ist. Auf jeden Fall muss solche juristische Überprüfung durch eine regelmäßige sicherheitstechnische Überprüfung ergänzt werden.

Aus für regelmäßigen Passwort-Wechsel

Endlich kommt auch BSI zu der Meinung, dass regelmäßiger Passwort-Wechsel die Sicherheit eher verschlechtert. NIST empfiehlt kein Passwort-Wechsel schon seit mehr als 2 Jahren. Stattdessen sollen Systemadministratoren ständig überprüfen, ob die Passwörter bereits kompromittiert sind. Nur dann sollten solche Passwörter gewechselt werden.

https://www-heise-de.cdn.ampproject.org/c/s/www.heise.de/amp/meldung/Passwoerter-BSI-verabschiedet-sich-vom-praeventiven-Passwort-Wechsel-4652481.html

Pentagon veröffentlicht Cybersecurity Maturity Model Certification

Pentagon hat gerade ein interessantes Konzept für Cybersecurity Maturity Model Certification präsentiert. Dieses Konzept ermöglicht eine präzise Einschätzung der Reifegrade der 17 definierten Cybersecurity Domänen. Die Einschätzung basiert auf dem klassischen 5-stufigen Maturity Model. Das Konzept beinhaltet in summe 171 Sicherheitsmaßnahmen ( als Practises in CMMC bezeichnet). Diese Sicherheitsmaßnahmen sind einzelnen Domänen und gleichzeitig den Reifegraden zugeordnet.

https://www.acq.osd.mil/cmmc/docs/CMMC_Model_Main_20200203.pdf

BSI veröffentlicht ein neuer Baustein für Software-Entwicklung

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat das IT-Grundschutz-Kompendium 2020 gerade veröffentlicht. Dieses Kompendium beschreibt auf 880 Seiten die IT-Grundschutz-Bausteine. 

„Im Fokus des IT-Grundschutz-Kompendiums stehen die sogenannten IT-Grundschutz-Bausteine. In diesen Texten wird jeweils ein Thema zu allen relevanten Sicherheitsaspekten beleuchtet. Im ersten Teil der IT-Grundschutz-Bausteine werden mögliche Gefährdungen erläutert, im Anschluss wichtige Sicherheitsanforderungen. Die IT-Grundschutz-Bausteine sind in zehn unterschiedliche Schichten aufgeteilt und reichen thematisch von Anwendungen (APP) über Industrielle IT (IND) bis hin zu Sicherheitsmanagement (ISMS).“

Die Struktur des Kompendiums ist in einer Mindmap sehr gut graphisch dargestellt.

Das Kompendium 2020 beinhaltet auch ein neuer Baustein - CON.8 Software-Entwicklung. Die Zielsetzung dieses Bausteines wird von BSI so definiert:

„...die Software-Entwicklung nimmt eine zentrale Rolle (in einer Institution) ein, indem aus den Anforderungen der Institution ein Programm-Code entwickelt bzw. angepasst wird. Hierbei ist es von essentieller Bedeutung, dass die Informationssicherheit über den gesamten Software-Entwicklungsprozess hinweg berücksichtigt wird, da nur auf diese Weise die Informationssicherheit der zu entwickelnden Software-Lösung und im Rahmen des Entwicklungsprojektes selbst gewährleistet werden kann.“

Der Baustein Software-Entwicklung beschreibt nur sehr allgemein sichere Rahmenbedingungen für sichere Software-Entwicklung. Der Gefährdungskatalog beschreibt die gängigen Gefahren in der Software-Entwicklung und die definierten Anforderungen helfen den Leiter der Software-Entwicklung alle notwendigen Regeln und Maßnahmen für sichere Entwicklung zu implementieren.

„Der Baustein stellt keine vollständige Anleitung oder generelle Vorgehensweise für die Entwicklung von Software dar, sondern er konzentriert sich auf die relevanten Aspekte der Informationssicherheit bei der Software-Entwicklung. Mit diesem Baustein wird der Baustein CON.5 Entwicklung und Einsatz von Individualsoftware um konkrete Aspekte zur Eigenentwicklung von Software erweitert. „

Es ist also ein typischer Management-Ansatz, welcher in der betrieblichen Praxis mit davon abgeleiteten technischen und organisatorischen Maßnahmen ergänzt werden muss. Die Liste der Anforderungen aus dem Baustein kann dabei als eine Checkliste dienen, um die Vollständigkeit der Umsetzung zu überprüfen.